PixelYourSite mit über 400.000 Installationen: Der Seiten-Cache verteilt eingeschleusten Code

Michael Dobler

Autor Dr. Web

22. Okt. 2026

3 Min. Lesezeit

Ein präparierter Cookie genügte, um Skriptcode in WordPress-Seiten mit dem Tracking-Plugin PixelYourSite einzuschleusen. Auf Websites mit Seiten-Cache erhielten danach alle Besucher diesen Code. Die schwere Sicherheitslücke steckt in allen Versionen vor 11.4.3, ein Konto braucht der Angreifer nicht.

Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen

Am 17. Oktober erschien PixelYourSite 11.4.3, drei Tage später machte die Schwachstellen-Datenbank WPScan öffentlich, was die neue Version schließt: CVE-2026-109987, gefunden vom Sicherheitsforscher Jakub Herman.^[1] Das Plugin für Meta-Pixel, Google Analytics 4 und Google Tag Manager hat laut wordpress.org mehr als 400.000 aktive Installationen (Stand 22. Oktober).^[2]

Auf einen Blick

Das Wichtigste in Kürze

Betroffen sind PixelYourSite vor 11.4.3 und die Pro-Fassung vor 12.6.8, WPScan vergibt nach CVSS 3.1 den Wert 7,2 (hoch).
Der Angreifer braucht kein Konto, andere Besucher erreicht der Code aber nur über einen Seiten-Cache.
Rund 26 Prozent der Installationen laufen laut wordpress.org noch auf den Versionszweigen 11.1 und 11.2.
Angriffe sind nicht bekannt, Beispielcode für einen Angriff will WPScan am 20. November veröffentlichen.

Wie gelangt der Code in den Cache?

Ein Kekstopf mit der Aufschrift „Cache“, in dem Kekse und ein kleiner Pylon davor liegen — PixelYourSite-Plugin setzte Zählpixel unsicher zusammen, Sicherheitslücke in Version 11.4.2 durch Cookie-Werte behoben in 11.4.3

Für Besucher ohne JavaScript setzt PixelYourSite unsichtbare Zählpixel in die Seite. Laut Änderungsprotokoll steckte der Fehler in diesen Ersatz-Pixeln.^[3] Bis Version 11.4.2 setzte das Plugin die Adresse der Pixel ungefiltert aus mehreren Werten zusammen, darunter laut WPScan ein Cookie-Wert. Version 11.4.3 kodiert jeden Wert und bereinigt die fertige Adresse, wie der Vergleich der Download-Archive zeigt.^[4]

Caching-Plugins und Hoster speichern fertige Seiten und liefern jeweils dieselbe Kopie an alle folgenden Besucher aus. Welche Kopie ein Besucher erhält, entscheidet der Cache-Schlüssel, typischerweise gebildet aus Adresse und Host.^[5] Cookies gehören meist nicht dazu. Landet die Antwort auf eine präparierte Anfrage im Cache, erhalten alle folgenden Besucher die manipulierte Fassung. Der Angriffstyp heißt Web-Cache-Poisoning.

Ein Angreifer kann so den Inhalt der Seite verändern, etwa ein gefälschtes Formular einblenden oder Besucher auf eine fremde Seite umleiten.^[6] Nach dem CVSS-Vektor von WPScan braucht der Angriff weder ein Konto noch ein Zutun des Opfers und gilt als wenig aufwendig.

Warum häufen sich die Lücken in PixelYourSite?

Ein Tracking-Plugin verarbeitet ständig Werte, die der Besucher mitbringt: Herkunftsseite, Kampagnenparameter in der Adresse, Cookies der Werbenetzwerke. Jeder dieser Werte stammt aus fremder Hand. Im Februar meldete Wordfence eine Lücke, über die Fremde ohne Anmeldung Skriptcode in gespeicherte Angaben zur Herkunftsseite schreiben konnten, betroffen waren Versionen bis 11.2.0.^[7] Im September folgte eine XSS-Lücke, für die ein Abonnenten-Konto genügte.^[8]

Im Änderungsprotokoll steht der Sicherheitshinweis zu Version 11.4.3 zwischen 23 weiteren Einträgen, eine Angabe zur Schwere fehlt.^[3] Laut Hersteller behebt dieselbe Version einen Fehler, durch den die Update-Funktion für kostenpflichtige Zusatzmodule die Update-Prüfung von WordPress blockierte. Ähnliche Lücken ohne Anmeldung steckten zuletzt im Cookie-Plugin Complianz und in W3 Total Cache.

PixelYourSite im Steckbrief

Reichweite, Schweregrad und XSS-Serie, Stand 22. Oktober 2026

400.000+

aktive Installationen laut wordpress.org

7,2

Punkte nach CVSS 3.1 vergibt WPScan für CVE-2026-109987

26 %

der Installationen laufen noch auf den Versionszweigen 11.1 und 11.2

XSS-Lücken seit Februar 2026 verzeichnet die NVD

Vom ersten Fund bis zum Beispielcode

Februar 2026

Herkunftsseite

Wordfence meldet eine XSS-Lücke ohne Anmeldung bis Version 11.2.0

September 2026

Abonnenten-Konto

Patchstack meldet eine XSS-Lücke bis Version 11.4.1

17. Oktober

Patch

Version 11.4.3 maskiert die Werte in den Ersatz-Pixeln

20. Oktober

Offenlegung

WPScan veröffentlicht CVE-2026-109987 ohne technische Details

20. November

Beispielcode

WPScan will Beispielcode für einen Angriff veröffentlichen

Ein Tracking-Plugin, das fremde Cookies ungeprüft in die Seite schreibt, macht den Cache zum Verteiler für Angreifer.
Markus Seyfferth, Chefredakteur Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Bringen Sie PixelYourSite auf Version 11.4.4, mindestens auf 11.4.3, die Pro-Fassung auf 12.6.8.
Cache leeren: Leeren Sie nach dem Update den Seiten-Cache vollständig, auch beim Hoster und im CDN, damit keine präparierte Kopie liegen bleibt.
Updates prüfen: Prüfen Sie in der Plugin-Übersicht, ob WordPress neue Versionen von PixelYourSite überhaupt anzeigt. Schalten Sie außerdem automatische Updates ein.
Seiten kontrollieren: Suchen Sie im Quelltext gecachter Seiten nach Skripten, die Sie nicht selbst eingebunden haben.
Meldepflicht klären: Lief fremder Code auf Formular- oder Kassenseiten, prüfen Sie die 72-Stunden-Meldepflicht nach Art. 33 DSGVO.^[9]

Ein Patch liegt vor, Angriffe sind bisher nicht bekannt. Agenturen mit vielen Kundenseiten sollten alle Installationen vor dem 20. November aktualisiert haben, dann folgt der Beispielcode. Grundregeln bündelt der Ratgeber zur WordPress-Sicherheit. Managed-Hoster übernehmen laut WordPress-Hosting-Vergleich in vielen Fällen auch Plugin-Updates.

FAQ: PixelYourSite mit über 400.000 Installationen: Der Seiten-Cache verteilt eingeschleusten Code

Welche Version von PixelYourSite ist sicher?

Die Lücke CVE-2026-109987 schließt Version 11.4.3 vom 17. Oktober 2026, aktuell ist Version 11.4.4. Bei PixelYourSite Pro ist 12.6.8 die erste sichere Version. Die installierte Version zeigt die Plugin-Übersicht im WordPress-Dashboard.

Ist meine Website ohne Seiten-Cache betroffen?

Laut WPScan erreicht der eingeschleuste Code andere Besucher nur über einen Seiten-Cache, der die präparierte Seite speichert. Manche Hoster betreiben einen solchen Cache serverseitig, also außerhalb von WordPress. Das Update gehört deshalb auf jede Website mit älterer Version.

Was ist Web-Cache-Poisoning?

Beim Web-Cache-Poisoning bringt ein Angreifer einen Zwischenspeicher dazu, eine manipulierte Seite abzulegen. Der Cache liefert diese Kopie danach an alle Besucher derselben Adresse aus, bis er die Seite neu erzeugt oder jemand ihn leert.

Wird die Lücke schon ausgenutzt?

Bis zum 22. Oktober 2026 wurden keine Angriffe bekannt, im Katalog der US-Behörde CISA für aktiv ausgenutzte Lücken steht CVE-2026-109987 nicht. WPScan will den Beispielcode am 20. November veröffentlichen, das Update sollte vorher eingespielt sein.